Уязвимость Citrix NetScaler позволяет удалённо выполнять команды без аутентификации

CVE-2026-88771 позволяет удалённо выполнять команды с правами root без аутентификации на Citrix NetScaler ADC и Gateway. Уязвимость связана с инъекцией в журнал: данные, переданные злоумышленником через не требующие аутентификации HTTP-точки доступа, в том числе поля входа и заголовки User-Agent, попадают в файл ns.log без надлежащей очистки.

Как работает эксплуатация

Демон admautoregd обрабатывает соответствующие записи журнала с помощью утилит командной строки. Злоумышленники могут внедрить команды между строками-триггерами pitboss NSPPE-00; и ;# unexpectedly died. Полезная нагрузка должна обходить ограничения на некоторые символы, использовать ${IFS} вместо пробелов и укладываться примерно в 93 байта, доступных в поле имени пользователя.

Выявленный фреймворк C2 для NetScaler автоматизирует массовую эксплуатацию уязвимостей. Конвейер на Bash и Python использует FOFA для поиска устройств NetScaler, доступных из интернета, фильтрует и удаляет дубликаты целей, определяет версии и выявляет уязвимые сборки. Затем фреймворк пытается эксплуатировать уязвимости через несколько не требующих аутентификации HTTP-точек доступа, отправляя полезные нагрузки в формате JSON, через формы и заголовки.

Операция проходит повторяющимися циклами по 30 минут и может одновременно обрабатывать большое количество систем. По оценке авторов отчёта, это указывает на широкомасштабную оппортунистическую эксплуатацию, а не на целенаправленное вторжение.

При успешной эксплуатации внедрённая команда загружает загрузочный скрипт с 45.143.130.195:8899. За ним следует лёгкий агент, который сохраняется в файле /tmp/.nsagent. Агент регистрирует жертву, передавая закодированные данные имени хоста и пользователя, каждые 20 секунд запрашивает команды по пути /c/<id> и отправляет закодированные результаты по пути /r/<id>.

Фреймворк также отправляет DNS-маяки вне основного канала связи с помощью nslookup. Их используют для подтверждения успешной эксплуатации, если HTTP-обратные вызовы недоступны или исходящий доступ ограничен. C2-слушатель предоставляет HTTP-сервисы для регистрации, доставки полезной нагрузки, опроса команд и сбора результатов, а DNS используется для маяков.

Признаки компрометации и меры реагирования

На возможную компрометацию могут указывать:

• вредоносные записи в ns.log с триггерами инъекции;
• соединения с адресом 45.143.130.195;
• запросы к путям /s/, /a/, /p/, /c/ или /r/;
• наличие файла /tmp/.nsagent;
• неожиданные процессы оболочки.

Авторы отчёта рекомендуют администраторам изолировать затронутые устройства, сохранить доказательства, ограничить доступ к интерфейсам управления и обновить систему до исправленных версий: 14.1-73.37 или более поздней, 13.1-64.23 или более поздней, а также до соответствующих версий FIPS или NDcPP.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.